Snyk Labs 披露 OAuth state 缺陷可致一键账号接管，涉及 Fastapi-users、Authlib 等库
1 Click, Zero Permission: How a Small OAuth Mistake Leads to Total Account Takeover part 2
AI 导读
Snyk Labs 在 OAuth 2.0 配置错误研究第二部分中指出，即使存在 state 参数，若其可预测或未与发起会话绑定，仍可导致一键登录 CSRF 乃至账号接管。修复方面，Fastapi-users 在 state JWT 中加入随机 claim 并写入 cookie 校验，Authlib 改为将 state 数据存入用户会话，Fast-Api SSO 与 Langfuse 也分别通过 sso_state cookie 校验和默认启用 NextAuth 标准保护修复。文章还建议用 CSP frame-ancestors、CHIPS 分区 cookie 等纵深防御措施，但强调这些不能替代正确的 OAuth state 处理。